Testeur de regex

À propos de cet outil

Ce testeur applique une expression régulière à un texte en temps réel et surligne chaque correspondance, avec le détail de leur position et de leurs groupes de capture, numérotés ou nommés. Vous pouvez aussi tester un remplacement ($1, $<nom>, $&), choisir un motif prêt à l'emploi (téléphone, code postal, IBAN, e-mail…) et expérimenter sans risque : l'analyse s'exécute dans un processus séparé et s'interrompt automatiquement au bout de deux secondes si l'expression provoque un backtracking catastrophique. Les erreurs de syntaxe sont expliquées en français.

Comment utiliser cet outil

1. Saisissez votre expression, ou choisissez un motif courant dans la liste : l'expression, les drapeaux et un texte d'essai sont remplis.
2. Cochez les drapeaux utiles : g (toutes les correspondances), i (casse), m (début et fin de ligne), s (le point inclut les retours à la ligne), u (Unicode).
3. Collez ou modifiez le texte à tester : les correspondances sont surlignées en alternant deux couleurs, et chacune est détaillée dans le tableau.
4. Pour tester une substitution, renseignez le champ « Remplacer par » : le texte transformé s'affiche et peut être copié.

Les briques d'une expression régulière

Une expression régulière (regex ou regexp) décrit un motif de texte : elle permet de chercher, de valider, d'extraire ou de remplacer des morceaux de texte. Elle s'écrit entre deux barres obliques, suivies des drapeaux : /motif/gi. Voici les éléments de base de la syntaxe JavaScript :

Pour écrire littéralement un caractère spécial (. * + ? ( ) [ ] { } ^ $ | \), faites-le précéder d'une barre oblique inverse : \. désigne un vrai point.

Gourmand ou paresseux : la différence qui change tout

Par défaut, les quantificateurs sont gourmands : ils prennent le plus de caractères possible. En ajoutant un point d'interrogation (*?, +?, {n,m}?), ils deviennent paresseux et prennent le moins possible.

Regex et langue française : accents, espaces et apostrophes

• \w ne reconnaît pas les accents. \w+ coupe « été » en « t » (le « é » n'est pas un caractère de mot). Utilisez \p{L}+ avec le drapeau u, ou une classe explicite comme [a-zA-ZÀ-ÿ]+.
• \b a la même limite. Les frontières de mots sont calculées sur les caractères ASCII : \bété\b ne trouve rien. Remplacez-les par des assertions : (?<!\p{L})été(?!\p{L}).
• Les espaces de la typographie française. \s reconnaît l'espace insécable (U+00A0) et l'espace fine insécable (U+202F) qui précèdent « ; : ! ? » et se trouvent dans les guillemets « ». C'est précieux pour nettoyer un texte, mais une espace ordinaire saisie [ ] ne les trouvera pas.
• L'apostrophe. Selon le clavier ou le traitement de texte, l'apostrophe peut être droite (') ou typographique (’). Pour couvrir les deux : l['’].
• Majuscules et minuscules. Le drapeau i fait correspondre « é » et « É ». Pour reconnaître spécifiquement une majuscule accentuée, utilisez \p{Lu} avec le drapeau u.

Une regex vérifie une forme, pas une validité

Les motifs courants de l'outil (téléphone, code postal, IBAN, e-mail…) vérifient que le texte ressemble à ce qu'on attend. Ils ne prouvent pas qu'il existe :

• Adresse e-mail. La syntaxe complète définie par la norme RFC 5322 est bien plus permissive (un nom local entre guillemets peut contenir des espaces) que n'importe quelle regex raisonnable. La spécification HTML elle-même reconnaît que sa définition d'une adresse « valide » s'écarte volontairement de la norme. La seule vérification fiable consiste à envoyer un message de confirmation.
• Code postal. Le motif accepte les cinq chiffres de 01 à 98 ; il ne sait pas si le code existe.
• Date. Le motif accepte les jours 01 à 31 et les mois 01 à 12, mais pas le nombre de jours de chaque mois ni les années bissextiles : « 31/02/2026 » passe. Utilisez un calculateur de dates pour vérifier la validité, comme celui de la durée entre deux dates.
• IBAN, SIRET, numéro de carte. Leur validité repose sur une clé de contrôle (modulo 97, algorithme de Luhn) que les regex ne calculent pas. Une regex filtre la forme ; un programme vérifie la clé.

Le backtracking catastrophique (ReDoS)

Pour trouver une correspondance, le moteur de JavaScript explore les possibilités les unes après les autres et revient en arrière (backtracking) quand une piste échoue. Avec certaines expressions, le nombre de pistes explose. L'exemple classique est ^(a+)+$ : sur « aaaa…a! », chaque « a » supplémentaire double le temps de calcul, et quelques dizaines de caractères suffisent à figer le navigateur. C'est le motif « Backtracking catastrophique » de l'outil : l'analyse s'exécute dans un processus séparé et s'interrompt après deux secondes, sans bloquer la page.

Ce risque est bien réel en production, car les regex tournent souvent sur des données fournies par des inconnus :

• Le 20 juillet 2016, Stack Overflow est resté inaccessible pendant 34 minutes : une expression destinée à retirer les espaces en fin de texte a dû examiner un message contenant environ 20 000 espaces consécutifs. Le coût de cette expression croît avec le carré de la longueur, ce qui suffit à saturer des serveurs.
• Le 2 juillet 2019, une règle du pare-feu applicatif de Cloudflare contenant une expression mal construite a épuisé les processeurs de ses serveurs dans le monde entier, provoquant des erreurs 502 pendant 27 minutes. Cloudflare a ensuite adopté un moteur sans backtracking.

Pour s'en protéger : évitez les quantificateurs imbriqués sur des éléments qui peuvent se recouvrir ((a+)+, (\w+\s?)*, (.*)*) ; remplacez les alternatives ambiguës par des classes de caractères précises ; limitez la longueur des textes soumis à une regex ; et, côté serveur, utilisez un moteur à temps linéaire comme RE2, ou imposez un délai maximal d'exécution. L'OWASP détaille ces attaques sous le nom de ReDoS.

Utiliser une regex dans votre code JavaScript

• re.test(texte) renvoie vrai ou faux. texte.match(re) renvoie la première correspondance (ou toutes avec le drapeau g), texte.matchAll(re) une série d'objets avec les groupes, et texte.replace(re, remplacement) ou replaceAll le texte transformé.
• Le piège du drapeau g avec test(). Une regex globale mémorise sa position (lastIndex) : const re = /a/g; re.test('a') renvoie true, puis un deuxième appel identique renvoie false. Créez une nouvelle regex à chaque appel, ou n'utilisez pas g pour un simple test.
• Les groupes nommés rendent le code lisible : avec (?<jour>\d{2})\/(?<mois>\d{2}), on lit m.groups.jour et m.groups.mois. Dans un remplacement, on les rappelle avec $<jour>.
• Dans une chaîne JavaScript, la barre oblique inverse doit être doublée quand on utilise new RegExp("\\d+"). La notation littérale /\d+/ évite cette contrainte.

Questions fréquentes